{"id":9401,"date":"2026-10-13T17:00:00","date_gmt":"2026-10-13T15:00:00","guid":{"rendered":"https:\/\/kevinknol.nl\/?p=9401"},"modified":"2026-10-18T05:26:56","modified_gmt":"2026-10-18T05:26:56","slug":"ivanti-connect-secure-zero-day-cve-2026-104935","status":"publish","type":"post","link":"https:\/\/www.kevinknol.nl\/en\/ivanti-connect-secure-zero-day-cve-2026-104935\/","title":{"rendered":"Ivanti zero-day: if the secured access gate itself becomes the entrance"},"content":{"rendered":"

De kern<\/strong><\/p>\n

Ivanti heeft een ernstige zero-day in Connect Secure gerepareerd. Dit product geeft medewerkers op afstand beveiligde toegang tot systemen en toepassingen van hun organisatie. Via CVE-2026-104935 kan een aanvaller volgens het NCSC zonder inloggen op afstand opdrachten uitvoeren op een kwetsbaar systeem. Ivanti heeft beperkt misbruik bij klanten gemeld.<\/p>\n

Het NCSC beoordeelt zowel de kans op misbruik als de mogelijke schade als hoog en adviseert direct bij te werken. De belangrijkste nuance: een update sluit de kwetsbaarheid, maar maakt een eerdere inbraak niet ongedaan. Organisaties moeten daarom niet alleen patchen, maar ook controleren of de gateway al is misbruikt en zo nodig herstellen vanaf een vertrouwde toestand.<\/p>\n

Voor particuliere internetgebruikers is er geen aanwijzing dat iedere laptop of thuisrouter door deze specifieke fout wordt bedreigd. Connect Secure is bedrijfssoftware. Medewerkers kunnen wel gevolgen merken wanneer hun werkgever het product gebruikt: tijdelijke uitval van externe toegang, opnieuw inloggen, intrekken van sessies of het vervangen van wachtwoorden en tokens.<\/p>\n

Wat is er gebeurd?<\/h2>\n

Op 13 oktober 2026 publiceerde het NCSC een waarschuwing voor CVE-2026-104935. Een zero-day is een kwetsbaarheid die al werd misbruikt voordat de leverancier of gebruikers voldoende tijd hadden om de fout publiek te repareren. In dit geval is misbruik bij een beperkt aantal klanten gemeld. \u201cBeperkt\u201d betekent niet automatisch laag risico: een toegangspoort staat vaak rechtstreeks aan het internet en heeft een vertrouwensrelatie met interne systemen.<\/p>\n

De fout wordt in het NCSC-beveiligingsadvies beschreven als \u201cauthentication bypass by spoofing\u201d. In gewone taal: de normale controle die bepaalt of iemand eerst geldig moet inloggen, kan worden omzeild. Een aanvaller kan vervolgens willekeurige opdrachten op het kwetsbare apparaat uitvoeren. De kwetsbaarheid heeft een CVSS-score van 8,6 op een schaal tot 10.<\/p>\n

Ivanti heeft reparaties uitgebracht voor verschillende versietakken. Binnen 22.8 zijn 22.8R2.4 en ouder getroffen; 22.8R2.5 bevat de reparatie, al adviseert Ivanti volgens het NCSC waar mogelijk naar 25.1.1.2 of nieuwer te gaan. Binnen de 25.1.1-reeks verhelpt 25.1.1.2 het probleem. Voor 25.1.2.2 en ouder zijn 25.1.3.0 of 25.1.3.1 de veilige doelen die het NCSC noemt. Volgens Ivanti zijn 22.7R2.14 en ouder niet getroffen door deze specifieke CVE.<\/p>\n

Waarom doet dit ertoe?<\/h2>\n

Een VPN- of toegangsgateway is gebouwd om een veilige tunnel te maken tussen een medewerker en de organisatie. Die tunnel gebruikt cryptografie om verkeer onderweg af te schermen. Maar versleuteling lost een overgenomen eindpunt niet op. De gateway moet gegevens ontsleutelen om ze door te sturen en beheert sessies, routes en toegangsbesluiten. Wie het apparaat bestuurt, bevindt zich dus niet buiten de kluis maar bij de deurbediening.<\/p>\n

Na een succesvolle aanval kan niet alleen vertrouwelijkheid in gevaar komen. Instellingen kunnen worden gewijzigd, achterliggende systemen kunnen worden benaderd en de externe toegang kan uitvallen. Voor organisaties die thuiswerk, storingsdienst of beheer op afstand nodig hebben, raakt dat ook continu\u00efteit. Snel patchen zonder failoverplan kan kort uitval geven; niet patchen kan veel grotere en langere uitval veroorzaken.<\/p>\n

De feiten moeten zorgvuldig worden gescheiden. Het is een vaststaand publiek feit dat Ivanti de kwetsbaarheid heeft gerepareerd en beperkt misbruik heeft gemeld. Het NCSC classificeert kans en impact als hoog. De openbare bronnen noemen in deze waarschuwing geen dader en leveren dus geen basis voor politieke of strafrechtelijke attributie. Een algemene aanname over een land of groep zou speculatie zijn.<\/p>\n

Wat betekent dit concreet voor jou?<\/h2>\n

Werk je op afstand, dan hoef je niet zelf te bepalen welk apparaat achter de inlogpagina staat. Volg berichten van je werkgever. Het kan verstandig zijn dat IT bestaande sessies be\u00ebindigt, je opnieuw laat aanmelden of inlogmiddelen vervangt. Dat is ongemakkelijk maar kan nodig zijn om gestolen sessies ongeldig te maken.<\/p>\n

Keur geen onverwachte MFA-melding goed en geef nooit een eenmalige code door aan iemand die belt of chat. Na openbaarmaking van een kwetsbaarheid kunnen criminelen het nieuws gebruiken voor phishing: \u201cde helpdesk moet vanwege Ivanti je account herstellen\u201d. Neem zelf contact op via het intranet, een bekend telefoonnummer of de offici\u00eble servicedeskroute.<\/p>\n

Zie je een onverwachte VPN-melding, nieuwe certificaatwaarschuwing, afwijkende inlogpagina of toegang vanaf een onbekende locatie, maak dan een schermafbeelding en meld het. Ga niet herhaaldelijk proberen; daarmee kunnen relevante tijdstippen en foutmeldingen verloren gaan. Verander gevoelige wachtwoorden alleen vanaf een apparaat en verbinding die als betrouwbaar zijn beoordeeld en wanneer IT daarom vraagt.<\/p>\n

Wat betekent dit voor je digitale voetafdruk?<\/h2>\n

Een toegangsgateway kan informatie bevatten over gebruikersnamen, tijdstippen, bron-IP-adressen, apparaatkenmerken en bezochte interne diensten. Daarmee zijn werkritmes, thuiswerklocaties en reisbewegingen af te leiden. Een openbaar bericht over een conferentie of vakantie kan zulke technische metadata extra betekenis geven.<\/p>\n

Priv\u00e9 en werk raken elkaar ook via herstelkanalen. Een priv\u00e9mailadres of telefoonnummer kan worden gebruikt voor accountrecovery of MFA. Familieleden kunnen worden benaderd met informatie uit openbare profielen. Deel daarom niet meer over werkroosters, locaties en systemen dan nodig en gebruik voor werk uitsluitend de goedgekeurde accounts en apparaten.<\/p>\n

Een haalbaar stappenplan<\/h2>\n
    \n
  1. ZIEN \u2014 stel vast of het product aanwezig is.<\/strong> Vraag de IT-eigenaar of leverancier welke Connect Secure-appliances, virtuele instances, noodomgevingen en testkopie\u00ebn bestaan en welke versie zij draaien.<\/li>\n
  2. RICHTEN \u2014 behandel dit als spoed.<\/strong> Kies de door Ivanti aangegeven veilige versie, plan een kort onderhoudsvenster en bepaal vooraf wanneer de dienst tijdelijk dichtgaat. Maak geen langdurige uitzondering omdat remote toegang belangrijk is.<\/li>\n
  3. LATEN HANDELEN \u2014 scheid taken.<\/strong> Laat \u00e9\u00e9n team de update en continu\u00efteit verzorgen en een ander, waar mogelijk, bewijs en mogelijk misbruik beoordelen. Medewerkers krijgen \u00e9\u00e9n herkenbaar communicatiekanaal en een meldroute voor afwijkingen.<\/li>\n
  4. TOETSEN \u2014 controleer meer dan het versienummer.<\/strong> Verifieer na de update werking, logging, authenticatie en certificaten. Onderzoek de periode v\u00f3\u00f3r het patchmoment op aanwijzingen voor misbruik en kijk ook naar externe firewall-, identity- en netwerklogs.<\/li>\n
  5. LEREN \u2014 herstel en verbeter.<\/strong> Bij een bevestigde of niet uitsluitbare overname: isoleer, behoud bewijs, herbouw volgens de leverancier, trek sessies in en roteer relevante geheimen. Pas daarna het patch- en herstelproces aan op wat tijdens de oefening of het incident ontbrak.<\/li>\n<\/ol>\n
    \n

    Voor de techneuten<\/h2>\n

    Technische oorzaak en dreigingsmodel<\/h3>\n

    CVE-2026-104935 raakt Ivanti Connect Secure en wordt publiek gecategoriseerd als authentication bypass by spoofing. Het NCSC meldt unauthenticated remote command execution en een CVSS-score van 8,6. Voor verdediging is de kern dat een internetactor zonder voorafgaande geldige gebruikerssessie opdrachten op de appliance kan uitvoeren. Er is volgens het NCSC nog geen publieke proof-of-concept, maar publieke exploitcode kan snel verschijnen.<\/p>\n

    Het primaire digitale aanvalspad loopt van de internetinterface naar code-uitvoering op de gateway en daarna mogelijk naar sessies, configuratie, secrets of bereikbare interne diensten. Een menselijke route kan volgen via gestolen context voor helpdeskfraude of MFA-misbruik. Het fysieke pad speelt bij herstel: toegang tot console, reservehardware en offline configuraties bepaalt of een organisatie veilig kan herinstalleren wanneer remote beheer niet meer vertrouwd wordt.<\/p>\n

    Een patch is noodzakelijk maar niet hetzelfde als incident response. Bij vergaande apparaatcontrole kunnen lokale logs en indicatoren onbetrouwbaar zijn. Afwezigheid van een bekende indicator sluit compromittering daarom niet uit; correlatie en tijdlijnonderzoek blijven nodig.<\/p>\n

    Versies en randvoorwaarden<\/h3>\n